32. Jahresbericht der Landesbeauftragten für Datenschutz (pdf ...

audits. Ein abstraktes, verfahrensunabhängiges Produktaudit entspricht den Anforderungen
eines Verfahrensaudits nicht (vergleiche 31. Jahresbericht, Ziffer 3.1).
Im Hinblick auf die Anerkennung vergleichbarer Audits bei der Zulassung ist daher
von uns zunächst die Vergleichbarkeit zu überprüfen. Da bei Audits, die nicht
nach dem bremischen Datenschutzrecht erfolgen, häufig lediglich Produktaudits
durchgeführt werden, wäre die Vergleichbarkeit in vielen Fällen wohl zu verneinen.
Nach den von uns in Bremen mit der Durchführung von Datenschutzauditierungen
gewonnenen Erfahrungen ist auch nur die Beurteilung von Produkten in ihrer technischen
Umgebung und ihrem konkreten Einsatzbereich wirklich sinnvoll.
Die benötigten Regelungen zum Datenschutzaudit für die dem Bundesdatenschutzgesetz
(BDSG) unterliegenden Stellen fehlen weiterhin. Der vom Bundesminister
des Innern in 2008 vorgelegte und von den obersten Aufsichtsbehörden für den
Datenschutz im nicht öffentlichen Bereich kritisierte Gesetzentwurf (vergleiche
31. Jahresbericht, Ziffer 21.5) ist nicht verabschiedet worden. Der Bund ist dringend
aufgerufen, seiner Gesetzgebungsverpflichtung nach § 9 a BDSG nachzukommen.
Benötigt werden angemessene Regelungen, die insbesondere geeignet sind, den
Datenschutz in der Wirtschaft zu verbessern.
15.2 Re-Auditierung des Verfahrens VERA bei der bremer arbeit gmbH
Die bremer arbeit gmbH (bag) teilte uns im Berichtsjahr mit, dass das von ihr eingesetzte
und 2007 erstmals zertifizierte Verfahren VERA (vergleiche 30. Jahresbericht,
Ziffer 3.1) einer Re-Auditierung unterzogen werden solle. Nähere Informationen,
insbesondere im Hinblick auf die Zulassung des Auditors, über die unsere
Behörde entscheidet, und über die Durchführung des Audits erhielten wir zunächst
nicht.
Auch bei einer erneuten Auditierung müssen die Vorschriften der Bremischen Datenschutzauditverordnung
(BremDSAuditVO) und der hierzu erlassenen Durchführungsbestimmungen
eingehalten werden. Wenn sich auch hinsichtlich einer nochmaligen
Auditierung durch den selben Auditor das Prüfungs- und Zulassungsverfahren
vereinfachen kann, muss trotzdem die Einhaltung der zu beachtenden Bestimmungen
gewahrt bleiben. Regelungen, nach denen in solchen Fällen anders
verfahren werden kann, gibt es nicht. So bedarf auch bei einer nochmaligen Auditierung
das Tätigwerden des Auditors einer vorhergehenden Prüfung und Zulassung
durch die Landesbeauftragte für Datenschutz und Informationsfreiheit. Mit
der bloßen Mitteilung, das Verfahren VERA befinde sich in der Re-Auditierung,
erhielten wir insbesondere keine Informationen darüber, wer das Audit durchführen
soll und welchen Umfang und Inhalt es haben soll. Darüber hinaus waren wir
auch über Veränderungen des Verfahrens VERA nicht informiert worden. Erst nachdem
wir wiederholt auf die zu beachtenden Regelungen hinwiesen und deren Einhaltung
verlangten, gelang es, ein den Vorschriften entsprechendes Verfahren zu
erreichen. Der von der bag vorgeschlagene Auditor, der bereits das erste Audit
durchgeführt hatte, wurde von uns nach einer Prüfung des Vorliegens der notwendigen
Voraussetzungen schließlich zugelassen.
16. Die Entschließungen der Datenschutzkonferenzen im Jahr 2009
16.1 Stärkung der IT-Sicherheit – aber nicht zu Lasten des Datenschutzes
(Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und
der Länder am 18. Februar 2009)
Das Bundeskabinett hat am 14. Januar 2009 den Entwurf eines Gesetzes zur Stärkung
der Sicherheit in der Informationstechnik des Bundes beschlossen (Bundesrats-Drucksache
62/09). Mit dem Gesetz sollen dem Bundesamt für Sicherheit in
der Informationstechnik (BSI) umfassende Befugnisse eingeräumt werden, um Gefahren
für die Sicherheit der Informationstechnik des Bundes abzuwehren. Weiter
sollen aber zugleich auch das Telemediengesetz (TMG) und das Telekommunikationsgesetz
(TKG) geändert werden.
Angriffe auf die IT-Sicherheit können nicht nur die ordnungsgemäße Abwicklung
von Verwaltungsaufgaben beeinträchtigen, sondern auch Gefahren für die Persönlichkeitsrechte
der Bürgerinnen und Bürger mit sich bringen. Daher sind Konzepte
zu entwickeln und umzusetzen, die sowohl die IT-Sicherheit stärken als auch
den Schutz der Privatsphäre gewährleisten.
— 80 —